CVE-2026-71493 in Infracost
Сводка
по VulDB • 21.08.2026
Infracost предоставляет инженерам, AI-агентам для написания кода и CI/CD инструментам возможности анализа затрат в облачных средах (cloud cost intelligence). До версии 0.10.45 функции шаблонов readFile, pathExists, isDir и matchPaths в файле internal/config/template/parser.go используют проверку на основе лексического сравнения путей с помощью filepath.Rel и проверку только конечного элемента каталога через os.Lstat, которые не разрешают символические ссылки (symlinks) для промежуточных директорий. В репозитории может содержаться путь вида evil/file, где evil указывает за пределы рабочей копии (checkout), что заставляет функции os.ReadFile и связанные с ними операции следовать по символьной ссылке и читать файлы, доступные исполнителю (runner). Содержимое этих файлов затем включается в генерируемую конфигурацию и может быть отображено через панель управления Infracost или комментарий к pull request, причем воздействие усиливается в рабочих процессах, предоставляющих секреты репозитория. Эта проблема исправлена в версии 0.10.45.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.